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(3) Einrichtung zur Steuerung von Stellgliedern 



(57) Bei derartigen Einrichtungen soil bei Software- Oder 
Bauteilfehlern eine Notlauffunktion erreicht werden, wobei 
vereinzett auftretende Fehler unberucksichtigt bleiben soi- 
ls rv 

Die erfindungsgemaSe Einrichtung ermoglicht die Uberwa- 
chung des Program m a blaufs auf Unterbrechungsanforde- 
rungen. 

Latente Fehler der Software, die vereinzelt auftreten, bleiben 
in bezug auf die Aktivierung des Notlaufpfades ohne EinfluB. 
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Beschreibung 

Die Erfindung betrifft eine Einrichtung zur Steuerung 
von Stellgliedern nach dem Oberbegriff des Patentan- 
spruchs 1. 5 

Eine derartige Einrichtung ist beispielsweise Gegen- 
stand der DE-OS 36 28 536 und weist bereits eine Ober- 
wachungsschaltung auf, weiche bei Ausfall der digitalen 
Steuereinrichtung eine Umgehung der digitalen Steuer- 
einrichtung schaltet, wobei die Oberwachungsschaltung io 
mit einem Ausgang des Mikroprozessors verbunden ist, 
an welchem bei Ablauf des im Mikrocomputer gespei- 
cherten Programms regelmaQig Signale abgegeben 
werden, deren Ausbleiben ein Steuersignal fur z. B. eine 
Notlauffunktion bewirkt. \s 

Bei dem vorgesehenen Einsatz dieser Einrichtung bei 
einer Fahrzeugbrennkraftmaschine wird gefordert, daQ 
die Steuerung/Regelung auch nach Ausfall eines oder 
mehrerer Bauteiie zumindestens im eingeschrankten 
Umfang funktioniert. Hinsichtlich des Ausfalls oder ei- 20 
ner unzulassigen Verschlechterung der Hardware selbst 
sind die hier aufgezeigten regelmaQig abgegebenen Si- 
gnale als wirksames Mittel anzusehen, ein Notlaufpro- 
gramm zu starten. 

Die geringe Versorgungsspannung digitaler Steuer- 25 
einrichtungen bzw. derer Schaltglieder bewirkt einen 
geringen Storabstand des Signalpegels, wobei auch die 
Signalstrome gering gehalten werden, urn Verlustwar- 
me in Grenzen zu halten. 

Diese geringe Versorgungsspannung bzw. geringen 30 
Signalstrome begiinstigen eine storende EinfluOnahme 
von auQen und dem Inneren der Steuereinrichtung 
durch Versorgungsspannungsschwankungen, Storspan- 
nungen und elektromagnetische Storstrahlungen. 

In digitalen Schaltnetzen bewirkt ein kurzzeitiger, 35 
durch auBeren oder inneren EinfluB entstehender Si- 
gnalpegel durch die Abhangigkeit der Folgezustande 
von den vorherigen Zustanden u. U. Fehlfunktionen. So 
kann z. B. auch das Steuersignal der gattungsgemaBen 
Einrichtung durch diese inneren oder iufieren Einfliisse 40 
zu einer Fehlfunktion fuhren. 

Aus der DE 36 44 248 C2 ist bereits ein Verfahren zur 
Uberwachung eines Programmlaufs und zum Beenden 
eines aufgrund auBerer Einflusse ausgelosten fehlerhaf- 
ten Programmlaufs bekannt, bei dem der Programmlauf 45 
regelmaQig unterbrochen und ein Testprogramm abge- 
arbeitet wird. Das Testprogramm veranlaQt einen Ver- 
gleich der momentanen Werte bestimmter, wahrend des 
Programmlaufes unverandert belassener interner Regi- 
ster, mit den zugehbrigen, im Programmspeicher hinter- 50 
legten und wahrend des Initialisierungsprogramms in 
die internen Register kodierten Werte. Stimmen die je- 
weiligen Wertepaare iiberein, wird der Programmlauf 
fortgesetzt und bei Ungleichheit der Wertepaare, die als 
Indiz fur eine erfolgte St6rung des Mikroprozessors ge- 55 
wertet wird, setzt sich der Mikroprozessor in einen 
Grundzustand zuriick, dem die Abarbeitung des Initiali- 
sierungsprogrammes folgt. 

Diesen Verfahrensschritten liegt die Erfahrung zu- 
grunde, daQ eine durch auBere Einwirkungen entstande- so 
ne Stoning eines Mikroprozessors sehr leicht an undefi- 
niert veranderten Werten interner Register zu erken- 
nen ist, die entweder unmittelbar durch auBere Einfliisse 
oder von einem durch auBere Einflusse auBer Kontrolle 
geratenen Mikroprozessor verandert wurden. 65 

Nun spielt aber bei der Signalverarbeitung nicht nur 
die Hardware eine Rolle, sondern auch die Software, 
also die Programmierung im Steuergerat. Auch die Soft- 
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ware kann Fehler zeigen. Zwischen Hardware- und 
Softwarefehlern besteht grundsatzlich kein Unter- 
schied, jedoch unterliegt Software keinem VerschleiB, 
vielmehr sind Fehler latent von vornherein in der Soft- 
ware enthalten. Sie treten aber nur bei bestimmten 
Kombinationen von EingangsgroBen und internen Zu- 
standen in Erscheinung. Es ist praktisch nicht moglich, 
die Software fur alle denkbaren Kombinationen von 
EingangsgroBen und internen Zustanden zu testen. 

Hiervon ausgehend liegt der Erfindung die Aufgabe 
zugrunde, eine Einrichtung der im Oberbegriff des Pa- 
tentanspruchs 1 genannten Art derart auszubilden. daQ 
bei Ausfall von Bauteilen und zusatzlich bei Fehlern der 
Software eine Notlauffunktion erreicht wird, wobei je- 
doch latent von vornherein in der Software enthaltene 
Fehler, die vereinzelt auftreten, ohne Auswirkungen 
bleiben sollen.d, h. den Notlaufpfad nicht aktivieren sol- 
len. 

Diese Aufgabe ist mit den im Kennzeichen des Pa- 
tentanspruchs 1 angegebenen Merkmalen geldst. Vor- 
teilhafte Weiterbildungen des Gegenstandes nach An- 
spruch 1 sind mit den Unteranspruchen angegeben. 

Eine Ausfuhrung der Erfindung ist in der Zeichnung 
schematisch dargestellt und nachfolgend mit Angabe 
erreichbarer Vorteile beschrieben. 

Die Zeichnung zeigt: 

Fig. 1 den schematischen Aufbau der Einrichtung; 
Fig. 2 eine erste Prinzipdarstellung eines Steuergera- 
teteils. 

Fig. 1 zeigt schematisch eine erfindungsgemaQe Ein- 
richtung zur Steuerung von Stellgliedern, hier z. B. einer 
Drosselklappe in der Luftansaugleitung einer Brenn- 
kraftmaschine. Diese besteht aus einem mit einem Gas- 
pedal I verbundenen Stellungsgeber, hier ein Potentio- 
meter 2, welches die Gaspedalstellung bzw. -verstellung 
als Widerstandswert anzeigt, der uber eine elektrische 
Leitung 3 einem elektronischen Steuergerat 4 zugefiihrt 
wird. In diesem Steuergerat 4 wird der Widerstandswert 
unter Auswertung weiterer Motorparametersignale der 
Brennkraftmaschine, die uber Leitungen 5 dem Steuer- 
gerat 4 zugefiihrt werden, zu einem Ansteuersignal ver- 
arbeitet, das uber eine Leitung 6 einem Elektromotor 7 
zugefiihrt wird. Dieser Elektromotor 7 wirkt direkt oder 
uber ein Getriebe auf die Drosselklappe 8 ein, die 
schwenkbar in der Luftansaugleitung 9 angeordnet ist, 
und verstellt diese nach MaBgabe des Ansteuersignals 
bzw. der Gaspedalbetatigung und der Motorparameter- 
signale sowie des im Steuergerat enthaltenen Pro- 
gramms. Die aktuelle Stellung der Drosselklappe 8 wird 
uber ein weiteres Potentiometer 10 als Stellungsgeber 
erfaBt und ebenfalls als Widerstandswert uber eine Lei- 
tung 1 1 dem Steuergerat 4 zugefiihrt. 

Die Verarbeitung der dem Steuergerat 4 zugefiihrten 
Signale sowie die Ausgabe des Ansteuersignals und ggf. 
weiterer Signale erfolgt in ublicher Weise in einem Mi- 
krocomputer mit den erforderlichen Baugruppen Mi- 
kroprozessor, Speicher, Analog/Digitalwandler etc., die 
notwendig sind, urn mit der Einrichtung die Funktionen 
LeerlauffullungssteuerungAregelung, Laststeuerung, 
Verstellgeschwindigkeitssteuerung, Lastschlagdamp- 
fung, Schubabschaltung bzw. -anhebung fur Katalysa- 
torschutz usw. ausfiihren zu konnen. 

Fig. 2 zeigt schematisch einen Teil des Steuergerates 
4 mit einem Mikroprozessor 20, der durch ein regelma- 
Qig auftretendes programmiertes oder intern gebildetes 
Signal 21 ein Signal 22 fur eine Interruptroutine ausgibt, 
mit der aus einem ersten Speicher (23) ausgelesene Mu- 
ster Ml und MZ die aus einem redundanten Code auf- 



DE 41 11 

3 

gebaut sind. einer Oberwachungsschaltung 24 bereitge- 
stellt und dort in einem zweiten Speicher 25 abgelegt 
und zu Werten Y1 und Y2 gemaB der Gleichung Y = F 
(Ml, M2) berechnet werden, wobei die Werte Y1 und 
Y2 ebenfalls gespeichert werden. Der Wert Y1 wird 5 
direkt einem Vergleicher 26 zugefuhrt und der Wert Y2 
dem Mikroprozessor 20. Der Wert Y2 wird im Mikro- 
prozessor 20 zu einem Wert Z gemaB der Gleichung Z 
« f (Y2) berechnet und der Oberwachungsschaltung 24 
zugefuhrt, in dieser in einem dritten Speicher 27 gespei- 10 
chert, von dort ebenfalls dem Vergleicher 26 zugeftfhrt 
und im Zuge einer Oberwachungsroutine mit dem Wert 
Y1 verglichen, wobei der Vergleicher 26 bei Feststel- 
lung Z = Yl ein Steuersignal 28 an eine Watchdoglogik 
29 ausgibt oder bei Feststellung Z ^ Yl kein Signal an 15 
die Watchdoglogik ausgibt, wobei der Notlaufpfad 32 
erst nach einer definierten Anzahl von Resetimpulsen 
insgesamt oder innerhalb einer definierten Zeitspanne 
aktiviert wird. Mit dieser MaBnahme wird erreicht, daB 
nicht jeder einzelne Resetimpuls 30 bereits eine Aktivie- 20 
rung des Notlaufpfades 32 bewirkt Wird kein Steuersi- 
gnal 28 an die Watchdoglogik 29 ausgegeben, lost diese 
einen Resetimpuls 30 aus, der uber einen Schalter 31 
einen Notlaufpfad 32 aktiviert, tiber den die Grundfunk- 
tion des Systems aufrechterhalten bleibt 25 

Bei der erfindungsgemaflen Einrichtung kann die 
Grundfunktion darin besiehen, daB der Elektromotor 7 
nahezu zeitgleich mit dem Gaspedal 1 bzw. dem Poten- 
tiometer 2 verstellt wird,d. h. der Drosselklappenpoten- 
tiometerwert entspricht damit immer dem vorgegebe- 30 
nen Gaspedalpotentiometerwert. 

Es ist vorteilhaft, wenn der vom Mikroprozessor 20 
gelesene Wert Y2 neu mit einem im Mikroprozessor 20 
gespeicherten Wert Y2 alt verglichen wird und bei Fest- 
stellung Y2 neu * Y2 alt die Berechnung des Wertes Z 35 
erfolgt und bei Feststellung Y2 neu = Y2 alt ein gegen- 
uber einem aus Y2 berechneten Wert Z falscher Wert Z' 
an die Oberwachungsschaltung 24 ausgegeben und in 
dieser anstelle eines neu berechneten Wertes Z verar- 
beitet wird. Mit dieser MaBnahme wird erreicht, daB bei 40 
fehlendem aktuellen Wert Y2 mit Z' ein gegenuber dem 
Wert Yt alt ungleicher Wert vorliegt so daB kein Steu- 
ersignal 28 an die Watchdoglogik 29 ausgegeben wird 
und diese den Resetimpuls 30 ausgibt Es ist vorgesehen, 
daB die Berechnung von Z oder Y2 und der Vergleich Z 45 
= Y2 innerhalb einer definierten Zeitspanne erfolgt, 
wahrend der die Watchdoglogik 29 keinen Resetimpuls 
30ausldst. 

Die Werte Ml und M2 konnen z. B. aus einem Rings- 
peicher mit unterschiedlichen Speicherinhalten der Rei- 50 
he nach entnommen werden, wobei vom letzten Spei- 
cherinhalt wieder zum ersten gegriffen wird, und sind 
aus einem redundanten Code aufgebaut, so daB Ober- 
tragungsfehler, z. B. auch durch Fremdfelder verursach- 
te, im Mikroprozessor 20 korrigiert werden konnen. 55 

Es kann vorgesehen sein, daB bei aktiviertem Not- 
laufpfad 32 ein Notlaufsignai fur den Motorbetreiber 
bereitgestellt wird und daB dieser den Notlaufpfad 32 
durch einen Schalter etc. ggf. deaktivieren kann. 

Die erfindungsgemafle Einrichtung ermoglicht neben 60 
einer ordnungsgemaBen Funktion die Oberwachung 
des Programmablaufs auf Unterbrechungsanforderun- 
gen und das Erkennen von Fehlern der Hardware und 
ermoglicht die Aktivierung des Notlaufpfades 32, uber 
den eine beschrankte Funktion der Einrichtung moglich 65 
ist Latente Fehler der Software, die vereinzelt auftre- 
ten, bleiben durch die Codierung der Werte Ml und M2 
und/oder die MaBnahme, daB der Notlaufpfad 32 erst 
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nach einer definierten Anzahl von Resetimpulsen 30 ins- 
gesamt oder innerhalb einer vorgegebenen Zeitspanne 
aktiviert wird, in bezug auf die Aktivierung des Notlauf- 
pfades 32 ohne EinfluB. 

Patentanspruche 

1. Einrichtung zur Steuerung von Stellgliedern mit 
einem elektronischen Steuergerat, in dem eine 
Oberwachungsschaltung (24) enthalten ist, die mit 
einem Mikroprozessorausgang verbunden ist und 
bei Ablauf des Steuerprogramms regelmaBig Steu- 
ersignale (28) abgibt deren Ausbleiben eine Watch- 
doglogik (29) und ggf einen Notlaufpfad (32), uber 
den die Einrichtung mit beschrankter Funktion be- 
trieben werden kann, aktiviert, dadurch gekenn- 
zeichnet, 

daB ein vom Mikroprozessor (20) regelmaBig er- 
zeugtes Signal (21) eine Interruptroutine (22) star- 
ted mit der aus einem ersten Speicher (23) fortlau- 
fend unterschiedliche Muster Ml und M2, die aus 
einem redundanten Code aufgebaut sind, ausgele- 
sen, der Oberwachungsschaltung (24) bereitgestellt, 
in dieser gespeichert und zu Werten Yl und Y2 
berechnet werden, die ebenfalls in einem zweiten 
Speicher (25) gespeichert werden, 
daB der Wert Yl an einen Vergleicher (26) ausge- 
geben wird und der Wert Y2 vom Mikroprozessor 
(20) gelesen und in diesem zu einem Wert Z berech- 
net wird, der der Oberwachungsschaltung (24) zu- 
gefuhrt wird, in dieser in einem dritten Speicher 
(27) gespeichert und dem Vergleicher (26) zuge- 
fuhrt wird, und 

daB der Vergleicher (26) bei Feststellung Z » Yl 
das Steuersignal (28) oder bei Feststellung Z * Yt 
kein Steuersignal (28) an die Watchdoglogik (29) 
ausgibt, und 

daB der Notlaufpfad (32) erst nach einer definierten 
Anzahl von Resetimpulsen der Watchdoglogik (29) 
insgesamt oder innerhalb einer definierten Zeit- 
spanne aktiviert wird. 

2. Einrichtung nach Anspruch 1, dadurch gekenn- 
zeichnet, daB der vom Mikroprozessor (20) gelese- 
ne Wert Y2 neu mit dem im Mikroprozessor (20) 
gespeicherten Wert Y2 alt verglichen wird und bei 
Feststellung Y2 neu * Y2 alt die Berechnung des 
Wertes Z erfolgt und bei Feststellung Y2 neu = Y2 
alt ein gegenuber einem aus Y2 berechneten Wert 
Z falscher Wert Z' an die Oberwachungsschaltung 
(24) ausgegeben und in dieser anstelle eines neu 
berechneten Wertes Z verarbeitet wird. 

3. Einrichtung nach Anspruch 1 oder 2, da durch 
gekennzeichnet, daB die Werte Ml und M2 einem 
Ringspeicher (23) mit unterschiedlichen Speicher- 
inhalten der Reihe nach entnommen werden. 

4. Einrichtung nach einem der vorstehenden An- 
spruche, dadurch gekennzeichnet, daB die Berech- 
nung von Z und der Vergleich Z = Yl innerhalb 
einer definierten Zeitspanne erfolgt wahrend der 
die Watchdoglogik (29) keinen Resetimpuls auslost 

5. Einrichtung nach einem der vorstehenden An- 
spruche, dadurch gekennzeichnet, daB als Stellglied 
eine Drosselklappe (8) einer Brennkraftmaschine 
vorgesehen ist, bei der ein Gaspedal (1) auf einen 
Stellungsgeber (2) einwirkt, dessen Ausgangssignal 
neben anderen Motorparametersignalen im Steu- 
ergerat (4) zu einem Ansteuersignal fur einen Elek- 
tromotor (7) umgewandelt wird, der auf die Dros- 
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selklappe (8) einwirkt, wobei bei aktiviertem Not- 
laufpfad (32) ein Noilaufsignal fur den Motorbe- 
treiber bereitgestellt wird. 
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